El notorio grupo de ciberdelincuentes Black Cat ha reaparecido agresivamente con una sofisticada campaña de malware que utiliza técnicas avanzadas de optimización para motores de búsqueda para distribuir versiones falsas de software de código abierto popular. Manipulando los algoritmos de los motores de búsqueda, la banda posiciona con éxito sitios web de phishing meticulosamente diseñados para herramientas como Notepad++ en los primeros resultados de búsqueda de palabras clave. 

El notorio grupo de ciberdelincuentes Black Cat ha resurgido agresivamente con una sofisticada campaña de malware que utiliza técnicas avanzadas de optimización de motores de búsqueda para distribuir versiones falsas de software de código abierto popular. 

 

Al manipular los algoritmos de los motores de búsqueda, la banda ha logrado posicionar meticulosamente elaborados sitios web de phishing para herramientas como Notepad++ en el primer lugar de los resultados de búsqueda de palabras clave. Este posicionamiento estratégico explota implacablemente la confianza del usuario en plataformas familiares, lo que lleva a víctimas desprevenidas a descargar instaladores maliciosos que están secretamente empaquetados con peligrosas puertas traseras de control remoto capaces de robar datos confidenciales del host. Cuando los usuarios navegan a estos dominios fraudulentos, se encuentran con una interfaz altamente realista que imita los repositorios de software legítimos, a menudo con numerosos artículos tutoriales para mejorar artificialmente la credibilidad.

El engañoso proceso de descarga implica deliberadamente múltiples redirecciones, que finalmente guían al usuario a una página falsa con el estilo de GitHub. Esta capa de legitimidad está diseñada para reducir eficazmente la sospecha de la víctima antes de entregar la carga de software comprometida al sistema host. Los analistas de Weixin señalaron que esta rampante campaña comprometió con éxito aproximadamente 277.800 servidores de forma efectiva entre principios y finales de diciembre de 2025. El objetivo principal del malware sigue siendo la exfiltración encubierta de información altamente confidencial, incluidos los datos de usuario del navegador, los registros de pulsaciones de teclas en tiempo real y el contenido del portapapeles. Este amplio robo de datos plantea riesgos de seguridad graves e inmediatos tanto para los usuarios individuales como para las infraestructuras organizativas más grandes expuestas a la amenaza.

Mecanismo de infección y ejecución

El proceso de infección del malware es técnicamente intrincado. Al iniciar la ejecución, el instalador crea un acceso directo engañoso en el escritorio de la víctima, que apunta directamente al punto de entrada de la puerta trasera en lugar de a la aplicación real. El malware emplea hábilmente una estrategia de ejecución blanca y negra, utilizando un ejecutable benigno para cargar un componente DLL malicioso. Este DLL está específicamente diseñado para localizar y descifrar un archivo oculto y cifrado llamado M9OLUM4P.1CCE. Mientras que el archivo DLL malicioso descifra y ejecuta el archivo cifrado. Tras el proceso de descifrado exitoso, el archivo PE malicioso se carga directamente en la memoria del sistema mediante reflexión, una táctica que ayuda a evitar los mecanismos de detección basados en disco estándar. El malware asegura su longevidad creando elementos de inicio específicos del registro e inicia inmediatamente la comunicación con su servidor de comando y control, codificado como sbido.com:2869. Esta conexión persistente facilita la transmisión continua de datos robados, mientras que la IP de resolución del dominio se actualiza con frecuencia por los atacantes para evadir las medidas de bloqueo basadas en la red estática.

Fuentes:
https://cybersecuritynews.com/black-cat-hacker-group-with-fake-notepad-sites/